Go开发的AWS Lambda调用Secrets Manager未指定VersionStage报AccessDenied原因

为什么省略VersionStage会触发权限报错 #

这个问题的核心是IAM权限评估逻辑和SecretsManager API服务端默认逻辑的时序差异，以及你配置的资源策略条件规则的限制：

• IAM的权限评估发生在服务端处理API请求的逻辑之前，评估时只会读取你实际发起请求时携带的参数，不会主动填充API层面的默认值。
• 你配置的资源策略中使用了ForAnyValue:StringEquals条件匹配secretsmanager:VersionStage等于AWSCURRENT：当你请求中没有显式携带VersionStage参数时，IAM评估上下文里不存在secretsmanager:VersionStage这个属性，ForAnyValue要求至少有一个匹配值的条件无法满足，直接判定权限拒绝。
• 显式传入VersionStage: AWSCURRENT后，请求上下文里存在对应的参数，条件匹配通过，权限验证成功。
• 你提到的「未指定参数时默认使用AWSCURRENT」是SecretsManager服务端处理请求时的逻辑，这个逻辑发生在IAM权限评估通过之后，所以不会影响前置的权限校验结果。

为什么报错显示的是IAM assumed role身份 #

这是Lambda执行身份的标准机制，和本次权限报错的根因无关：

• 你为Lambda配置的执行角色是普通的IAM角色，Lambda服务运行函数代码前，会自动调用STS服务的AssumeRole接口换取该角色的临时安全凭证，该临时凭证对应的身份主体就是arn:aws:sts::xxx:assumed-role/角色名/会话名格式的assumed-role身份。
• 报错信息里展示的是本次请求发起时的实际身份，你在资源策略中配置原始IAM角色ARN作为Principal是完全生效的，IAM会自动将assumed-role身份和对应的原始角色关联校验，这个身份格式不是导致本次报错的原因。

内容的提问来源于stack exchange，提问作者tgilino